数据处理协议

本数据处理协议（“DPA”）构成ELXAO SASU（“处理器”）和客户（“控制器”）之间协议的组成部分，并实施法规（欧盟）第28条2016/679（“GDPR”）和法国数据保护法（1978 年 1 月 6 日第 78-17 号法，经修订）。它适用于ELXAO在提供服务的过程中代表控制者处理个人数据的情况。

定义

术语“个人数据”、“处理”、“控制者”、“处理者”、“分处理者”、“数据主体”、“特殊类别数据”和“个人数据泄露”具有 GDPR 第 4 条中给出的含义。本协议的条款适用于本 DPA，除非本 DPA 明确优先于这些条款。

处理的主题、持续时间和性质

角色和说明

控制者决定处理的目的和方式。 ELXAO 仅根据控制者的书面指示处理个人数据，这些指示由控制者的协议、订单、SLA、隐私政策以及此后发送的任何具体书面指示正式确定。如果ELXAO认为指令违反了数据保护法，它将立即通知控制者。

人员保密

ELXAO 确保每个被授权处理个人数据的个人都受到可执行的保密义务（雇佣合同、自由职业合同或保密协议）的约束，并接受了适合其角色的个人数据保护培训。

安全措施

ELXAO 实施适当的技术和组织措施（GDPR 第 32 条），包括：

• 用于生产数据存储的传输中的 TLS 1.2+ 加密和静态的 AES-256 加密。
• 基于角色的访问控制，遵循最小权限原则；对所有管理员进行强制多重身份验证。
• 欧盟托管的强化基础设施，定期进行漏洞扫描和修补。
• 代码审查、机密管理、安全 SDLC 以及生产/登台环境的分离。
• 集中、完整性保护的日志记录；针对可疑身份验证和数据导出事件发出警报。
• 加密的、地理上分离的备份以及记录的恢复测试。
• 人员入职/离职程序、密码管理器、具有全盘加密的安全笔记本电脑。
• 至少每年审查一次业务连续性和事件响应计划。

分处理

控制者授予ELXAO一般授权，以让子处理者执行特定的处理活动（托管、电子邮件发送、分析、广告平台、客户支持工具、事件管理平台）。 ELXAO 维护当前的子处理者列表，可通过 [email protected] 索取，并且将至少提前三十 (30) 天就任何预期的添加或替换发出通知，在此期间，控制者可以基于合理的数据保护理由提出反对。 ELXAO 对每个分处理者规定的数据保护义务不低于本 DPA 中规定的保护义务。

跨境传输

个人数据主要在欧洲经济区 (EEA) 内处理。如果处理涉及在 EEA 之外转移到没有充分性决定的国家，ELXAO 依赖 GDPR 第 46 条规定的适当保障措施，主要是欧盟委员会 2021 年 6 月 4 日的标准合同条款 (SCC)，并辅以转移影响评估所需的任何其他措施。

对控制者的协助

ELXAO 通过适当的技术和组织措施协助控制者履行其响应数据主体请求的义务（GDPR 第 12-22 条），并确保遵守 GDPR 第 32-36 条（安全、违规通知、DPIA、事先咨询）。服务中包含标准协助；每个请求超过一 (1) 个工作日的大量工作可在书面通知后按 ELXAO 当时的专业费率计费。

个人数据泄露

ELXAO 应立即通知控制者，并且无论如何应在发现影响控制者数据的个人数据泄露后七十二 (72) 小时内通知控制者。该通知包括违规的性质、受影响的类别和大致数量、可能的后果以及为解决问题而采取或建议的措施。

审计

ELXAO 应合理请求，每年不超过一次（违规后除外），向控制者提供证明遵守本 DPA 所需的信息，包括子处理者提供的 ISO 27001 / SOC 2 类型报告（如果有）。现场审计可以由控制者或相互批准的受保密约束的第三方审计员进行，费用由控制者承担，并在合理的事先通知下，在工作时间内进行，且不会无理扰乱ELXAO的运营。

返回或删除数据

协议终止后，ELXAO将根据控制者在三十 (30) 天内表达的选择，以结构化、常用和机器可读的格式返回所有个人数据，或将其从所有生产和操作系统中删除。备份副本将按标准轮换周期（最多九十 (90) 天）删除，并且仅在适用法律要求的情况下才可以在该期限之后保留，在这种情况下，它们仍须遵守本 DPA 的安全和保密义务。

责任

MSA 的责任条款适用于根据本 DPA 产生的索赔。根据 GDPR 第 82 条，各方仍对数据主体和监管机构承担责任。

联系我们

对于本 DPA 项下的任何数据保护问题、请求或通知，请通过 [email protected] 联系ELXAO。